Google의 보이지 않는 워터마크 작동 원리 및 취약점

Google은 2026년 10월 7일(synthid.com, 영어, 로그인 필요)에 SynthID Detector를 공개했습니다. 이미지, 비디오 또는 오디오 파일을 업로드하면 해당 파일이 SynthID의 보이지 않는 워터마크를 포함하고 있는지 알려줍니다. 빌더들에게 흥미로운 질문은 포털 자체가 아니라 마크 자체의 공학적 설계와 그것이 깨지는 지점입니다.

작동 메커니즘: 통계적 신호로서의 스테가노그래피

SynthID는 워터마크를 **생성 시점(at generation time)**에 삽입하며, 마우스 오른쪽 버튼 클릭으로 제거할 수 있는 메타데이터 형태로 존재하는 것이 아닙니다. 세 가지 모달리티에는 세 가지 숨겨진 지점이 있습니다.

• 이미지/비디오: 픽셀 값 자체에 인코딩된 신호로, 눈에는 보이지 않지만 통계적 분석을 통해 감지할 수 있습니다. Google의 기술 개요에 따르면 크롭(cropping), 필터, 압축에도 견딜 수 있도록 설계되었습니다.
• 오디오: 파형(waveform)에 삽입되어 청취할 수 없으며, Lyria나 NotebookLM 같은 도구에서 사용됩니다.
• 텍스트: LLM이 토큰 단위로 생성될 때, SynthID는 출력물이 가독성을 변경하지 않으면서도 감지 가능한 통계적 서명(statistical signature)을 갖도록 토큰 확률에 미묘하게 편향(bias)을 줍니다.

이것이 핵심 설계 선택입니다: 워터마크가 주변에 있는 것이 아니라 신호 자체 안에 있습니다. 메타데이터를 제거한다고 해서 사라지는 것은 아닙니다. 하지만 콘텐츠를 재인코딩하면 사라지는데, 바로 이 지점에서 군비 경쟁(arms race)이 벌어지고 있습니다.

위협 모델: 무엇이 살아남고, 무엇이 사라지는가

Google은 일반적인 편집(크롭, 필터, 압축)에 대한 견고성을 주장합니다. 연구원들과 Google 자체의 신중한 언급에 따르면 알려진 취약점은 다음과 같습니다:

• 과도한 압축 및 공격적인 필터: 워터마크를 약화시킬 수 있습니다.
• 재생성(Regeneration): 이미지를 다른 모델을 통해 입력하거나 과도하게 재편집하면 통계적 신호가 희석될 수 있습니다.
• 오픈 웨이트의 격차 (The open-weights gap): 생성된 콘텐츠의 상당 부분은 워터마크를 삽입하지 않는 모델에서 나옵니다. 깨끗한 탐지기 결과는 아무것도 증명하지 못합니다. 포털의 FAQ에서도 이를 명확히 밝히고 있습니다:

포털의 이용 약관이 자체적인 위협 모델에 대해 무엇을 밝히는지 주목하세요: 로그인 필수, 20가지 허용 형식, 자동화 및 대량 탐색 금지, 결과 처리 후 업로드 삭제, 그리고 각 파일의 디지털 서명이 24시간 동안 귀하의 계정에 매핑되어 유지됩니다. 이러한 규칙들은 체계적인 탐색이 바로 워터마크를 역설계하고 제거하는 방식이기 때문에 존재합니다. 이 마크 구조의 비밀성이 핵심을 지탱하고 있습니다.

알아둘 만한 규모 수치들

• 2023년 이후 워터마크가 적용된 180B+ 이미지 및 비디오 (Google 발표)
• 워터마크가 적용된 240,000년의 오디오
• Gemini 앱, 검색(Search), Chrome 전반에 걸친 일일 검증 요청 1M+ 건
• 2026년 5월까지 Gemini 앱을 통한 50M 건 체크
• 현재 인증 가능한 파트너: Google 모델, OpenAI (ChatGPT/DALL·E/API), NVIDIA, 카카오; Apple 발표됨, 날짜 미정

이를 활용해 만들고 싶은 것들

1. 미디어 파이프라인 내 출처(Provenance) 계층. 귀하의 제품이 미디어를 생성한다면, 생성 시점에 SynthID 계열 마크를 삽입하고 C2PA 콘텐츠 자격 증명(credentials)을 첨부해야 합니다. EU AI Act의 기계 판독 가능 마킹 요구 사항(2026년 8월 2일 발효)은 이미 유럽 시장을 겨냥하는 제품에 대해 규정 준수(compliance) 문제가 되었습니다.
2. 업로드 시 다중 신호 검증. 워터마크 확인 + C2PA 매니페스트 + 출처 평판 + 인간 검토. 단일 신호만으로는 아무것도 믿을 수 없습니다. 워터마크가 없다는 것은 '마킹되지 않았다'는 의미이지, 'AI가 아니다'라는 의미가 아닙니다.
3. 실습으로서의 적대적 테스트(Adversarial testing). 귀하의 워터마크가 적용된 결과물을 편집 사다리(edit ladder) — 스크린샷, 자르기(crop), 재압축, 재생성 —를 거치게 하고, 마크가 정확히 어디서 사라지는지 매핑해야 합니다. Google은 자체 보고 방식으로 견고성 주장을 하고 있으며, 아무도 공개 포털에 대한 독립적인 정확도, 오탐률(false-positive), 또는 미탐률(false-negative)을 발표하지 않았습니다.

핵심 요약

워터마크는 깨지지 않을 필요가 없습니다. 유용하려면 정직한 행위자에게는 저렴하고 부정직한 행위자에게는 비싸야 합니다. 이것이 모든 출처 증명 기술(provenance tech)이 평가받는 기준입니다. SynthID는 방금 첫 번째 다중 공급업체 채택을 이루었습니다 (OpenAI가 Google의 워터마크를 임베딩하는 것이 올해의 반전입니다). 마크가 존재하는 세상을 위해 구축하고, 그것들이 불완전할 것이라고 가정하며, 단 하나의 누락된 마크로 진위 여부를 판단해서는 안 됩니다.